Katalog podatności CVE

ZKTeco ZKAccess Professional w wersji 3.5.3 zawiera podatność na niebezpieczne uprawnienia plików, która pozwala uwierzytelnionym użytkownikom na eskalację uprawnień poprzez modyfikację plików wykonywalnych. Atakujący mogą wykorzystać uprawnienie do modyfikacji przyznane grupie Użytkowników Uwierzytelnionych, aby zastąpić pliki binarne złośliwym kodem.

Next Click Ventures RealtyScript w wersji 4.0.2 zawiera podatności na wstrzykiwanie SQL, które pozwalają nieautoryzowanym atakującym manipulować zapytaniami do bazy danych poprzez wstrzykiwanie dowolnego kodu SQL za pomocą parametru GET 'u_id' w pliku /admin/users.php oraz parametru POST 'agent[]' w pliku /admin/mailer.php.

Next Click Ventures RealtyScript w wersji 4.0.2 zawiera wiele podatności na ślepe wstrzykiwanie SQL oparte na czasie, które pozwalają nieautoryzowanym atakującym na wydobycie informacji z bazy danych poprzez wstrzykiwanie kodu SQL do parametrów aplikacji. Atakujący mogą tworzyć żądania z ładunkami opóźniającymi, aby wnioskować o zawartości bazy danych, analizując różnice w czasie odpowiedzi.

Next Click Ventures RealtyScript w wersji 4.0.2 zawiera podatność na przechowywane ataki typu cross-site scripting w parametrze location_name interfejsu administracyjnego lokalizacji. Atakujący mogą wysyłać żądania POST do punktu końcowego locations.php z ładunkami JavaScript w polu location_name, co pozwala na wykonanie dowolnego kodu w przeglądarkach administratorów.

Next Click Ventures RealtyScript w wersji 4.0.2 nieprawidłowo sanitizuje przesyłane pliki, co pozwala atakującym na przechowywanie złośliwych skryptów za pomocą parametru POST w admin/tools.php. Atakujący mogą przesyłać pliki zawierające kod JavaScript, który jest wykonywany w kontekście admin/tools.php, gdy jest dostępny dla innych użytkowników.

Qool CMS zawiera wiele podatności na trwałe ataki typu cross-site scripting w kilku skryptach administracyjnych, gdzie parametry POST nie są odpowiednio oczyszczane przed zapisaniem i zwróceniem użytkownikom. Atakujący mogą wstrzykiwać złośliwy kod JavaScript przez parametry takie jak 'title', 'name', 'email', 'username', 'link' i 'task'.

W bibliotece libarchive wykryto błąd w logice dekompresji archiwów RAR5, który podczas przetwarzania specjalnie spreparowanego archiwum prowadzi do nieskończonej pętli. Pętla ta nieprzerwanie zużywa zasoby procesora, a ponieważ archiwum przechodzi walidację sumy kontrolnej, aplikacje nie są w stanie wykryć problemu przed rozpoczęciem przetwarzania.

Podatność CVE-2026-4092 dotyczy ataku typu Path Traversal w Clasp w wersjach poniżej 3.2.0, co pozwala zdalnemu atakującemu na wykonanie złośliwego kodu poprzez projekt Google Apps Script zawierający specjalnie przygotowane nazwy plików z sekwencjami przechodzenia przez katalogi.

Podatność związana z naruszeniem kontroli dostępu może pozwolić uwierzytelnionemu użytkownikowi na przeprowadzenie poziomej eskalacji uprawnień. Dotyczy ona tylko określonych konfiguracji.

Nieodpowiednia implementacja w silniku V8 w Google Chrome przed wersją 146.0.7680.75 umożliwiała zdalnemu atakującemu wykonanie dowolnego kodu wewnątrz piaskownicy za pomocą spreparowanej strony HTML.

W Skia w Google Chrome przed wersją 146.0.7680.75 wystąpił błąd zapisu poza granicami, który umożliwiał zdalnemu atakującemu dostęp do pamięci poza dozwolonym obszarem za pomocą spreparowanej strony HTML.

Podatność związana z użyciem twardo zakodowanych poświadczeń w Avantra umożliwia dostęp do funkcji, które nie są odpowiednio ograniczone przez listy kontroli dostępu (ACL). Problem dotyczy wersji Avantra przed 25.3.0.

Wtyczka Appointment Booking Calendar — Simply Schedule Appointments dla WordPressa jest podatna na nieautoryzowany dostęp do wrażliwych danych we wszystkich wersjach do i włącznie z 1.6.9.29. Problem wynika z dwóch słabości: ujawnienia `public_nonce` dla nieautoryzowanych użytkowników oraz niewłaściwej autoryzacji w metodzie `get_item()`.

PyJWT przed wersją 2.12.0 nie waliduje parametru crit (Critical) zdefiniowanego w RFC 7515. Gdy token JWS zawiera tablicę crit z rozszerzeniami, których PyJWT nie rozumie, biblioteka akceptuje token zamiast go odrzucić, co narusza wymaganie MUST z RFC.

W podatności CVE-2026-32459 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w wtyczce flycart UpsellWP. Problem dotyczy wersji UpsellWP od n/a do 2.2.4.

W podatności CVE-2026-32458 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w edytorze zbiorczym RealMag777 WOLF. Problem dotyczy wersji WOLF od n/a do 1.0.8.7 włącznie.

W podatności CVE-2026-32433 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w formularzu kontaktowym CP z PayPal. Problem dotyczy wersji CP Contact Form with Paypal od n/a do 1.3.61.

W podatności CVE-2026-32426 występuje niewłaściwe zarządzanie nazwą pliku w instrukcji Include/Require w programie PHP, co pozwala na lokalne dołączenie plików. Problem dotyczy Medilazar Core w wersjach od n/a do poniżej 1.4.7.

W podatności CVE-2026-32422 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na Blind SQL Injection w wtyczce WP EasyCart. Problem dotyczy wersji WP EasyCart od n/a do 5.8.13.

Podatność CVE-2026-32418 dotyczy niewłaściwej neutralizacji specjalnych elementów używanych w poleceniach SQL, co prowadzi do możliwości przeprowadzenia ataku typu Blind SQL Injection w aplikacji Meow Gallery w wersjach od n/a do 5.4.4.